Logo após o recorde de atualizações da chamada Patch Tuesday, a Microsoft anunciou nesta quinta-feira correções para mais de 30 novas vulnerabilidades.
A maior parte das novas correções trata de falhas de segurança no pacote Office. Duas dezenas delas corrigem falhas de alta gravidade de execução remota de código (RCE, sigla de remote code execution), incluindo meia dúzia de falhas que podem ser exploradas pelo Preview Pane.
Na maioria dos casos, a exploração exige que um atacante envie um arquivo especialmente criado, como um documento malicioso, e convença o destinatário a abri-lo.
Estouros de buffer (buffer overflow) são apontados como causa da maioria das RCEs, com várias falhas do tipo off-by-one, uso após liberação de memória (use-after-free), travessia de caminho (path traversal) e erros de truncamento numérico.
O Word recebeu a maioria das correções, com apenas algumas sendo lançadas para Excel, Outlook, PowerPoint e SharePoint.
Além das falhas de RCE, a Microsoft corrigiu várias falhas de divulgação de informações e um problema de contorno de segurança no pacote Office.
Além disso, a empresa resolveu uma falha de negação de serviço (DoS, sigla de denial-of-service) no ASP.NET Core, uma elevação de privilégio no Identity Web e uma divulgação de informações na Authentication Library (MSAL, sigla de Microsoft Authentication Library) para Node.js.
Segundo a Microsoft, nenhuma das questões recém-resolvidas foi explorada em ataques reais como zero-day.
Também nesta quinta-feira, a Microsoft atualizou dezenas de alertas de segurança publicados inicialmente em 13 de outubro para informar os clientes que atualizações de segurança foram lançadas para o Office LTSC (sigla de Long-Term Servicing Channel, canal de manutenção de longo prazo) para Mac 2021 e 2024, e para o Office 365 para Mac.
